【セキュリティ】Flash Playerにまた致命的な脆弱性、IPAは一時的な無効化を推奨

海江田三郎 ★

http://itpro.nikkeibp.co.jp/atcl/news/15/101503397/

情報処理推進機構（IPA）は2015年10月15日、米アドビシステムズの「Adobe Flash Player」に、
セキュリティ脆弱性があるとする緊急の注意喚起情報を出した。細工されたWebサイトのFlashコンテンツを閲覧すると
、外部から遠隔操作される可能性がある。アドビはこの脆弱性の深刻度を4段階中最悪の「致命的（Critical）」としている。

　10月13日にリリースされた修正プログラムを適用しても、この脆弱性（CVE-2015-7645）は解消されない（画面）。
IPAは、標的型攻撃のリスクが懸念される組織においては、修正プログラムが公開されるまで
一時的にAdobe Flash Playerのアンインストールや無効化などの緩和策を実施するように呼び掛けた。
具体的な方法はOSやWebブラウザーの種類によって異なり、Webサイトで案内している。
アドビは、この脆弱性に関する修正プログラムを「10月19日の週内に用意する」と発表している。

　脆弱性があるのは、「Adobe Flash Player 19.0.0.207およびそれ以前のバージョン（Windows版およびMacintosh版）」
「Adobe Flash Player Extended Support Release 18.0.0.252およびそれ以前の18.xのバージョン」
「Adobe Flash Player 11.2.202.535およびそれ以前の11.xのバージョン（Linux版）」である。
Google ChromeなどのWebブラウザーに内蔵されているものも含め、PC用Flash Playerのほぼ全てが該当する。

　今回の脆弱性について、トレンドマイクロは10月14日時点で、独自に注意喚起する文書を出していた
（関連記事：Flash Playerにまたゼロデイ脆弱性、前日の更新で修正されず）。

IPAは2015年7月にも、Flash Playerの脆弱性を巡って無効化を推奨している（関連記事：
Flash Playerに致命的な脆弱性、修正プログラムなくIPAは無効化を推奨）。この時期に、
Flash Playerの脆弱性がサイバー攻撃に悪用されて実害につながったとみられる事象も起きている
（関連記事：科学技術振興機構から個人情報最大215人分流出、Flashの脆弱性で）。

　3カ月後にまた同様の問題が起きたことで、Webサイト運営者やユーザーの間でFlash利用自体の是非に関する
議論が再燃する可能性がある（関連記事：Flash Playerは賞味期限切れか？相次ぐ脆弱性を突くサイバー攻撃が国内で発生）。